Un certificado SSL wildcard cubre tu dominio principal y todos sus subdominios de un solo nivel con un único certificado — por ejemplo, *.tudominio.com protege tienda.tudominio.com, blog.tudominio.com y app.tudominio.com al mismo tiempo. Si gestionas varios subdominios en hosting compartido, es la opción más práctica y económica frente a instalar un SSL individual para cada uno.
SSL wildcard vs SSL estándar: ¿cuál necesitas?
Antes de instalar cualquier certificado, conviene aclarar la diferencia para no gastar donde no hace falta.
| Característica | SSL estándar (DV) | SSL wildcard |
|---|---|---|
| Dominios cubiertos | Un dominio (o uno + www) | Dominio principal + todos los subdominios de 1 nivel |
| Costo típico | Gratis (Let's Encrypt) a ~$500 MXN/año | ~$800–$3,000 MXN/año (comercial) o gratis vía ACME DNS |
| Validación | HTTP o DNS | Solo DNS (requisito obligatorio) |
| Cubre subdominios nuevos | No (requiere reeditar el cert) | Sí, automáticamente |
Cubre sub-subdominios (a.b.dominio.com) |
No | No (solo un nivel) |
Usa un SSL estándar si solo tienes www y el dominio raíz. Usa wildcard si ya tienes — o planeas tener — dos o más subdominios distintos bajo el mismo dominio.
Cuándo tiene sentido el wildcard en hosting compartido
El hosting compartido soporta perfectamente los certificados wildcard, aunque con una restricción importante: la validación siempre debe hacerse por DNS challenge, no por archivo HTTP. Esto significa que necesitas acceso a los registros DNS de tu dominio (normalmente en el mismo cPanel o en tu registrador).
Escenarios donde el wildcard es la elección correcta:
- Tienes una tienda online (
tienda.dominio.com) y un blog separado (blog.dominio.com) en el mismo hosting. - Ofreces un portal de clientes en un subdominio (
clientes.dominio.com) y usas otro para staging (dev.dominio.com). - Administras una agencia o escuela con un subdominio por área:
alumnos.dominio.com,profesores.dominio.com,admin.dominio.com. - Creas subdominios dinámicamente y no quieres emitir un certificado individual cada vez.
Escenarios donde no necesitas wildcard:
- Solo tienes el dominio principal y
www: un SSL de Let's Encrypt con ambos SANs es suficiente y gratis. - Tienes un subdominio adicional puntual: puedes añadirlo como SAN al certificado estándar en lugar de pagar un wildcard.
Cómo instalar un SSL wildcard en cPanel paso a paso
Existen dos rutas: (A) dejar que Let's Encrypt lo emita automáticamente vía AutoSSL si tu proveedor lo soporta, o (B) generar el certificado tú mismo y subirlo manualmente. La opción A es más sencilla; la B es necesaria si tu proveedor no ofrece wildcard en AutoSSL.
Ruta A — AutoSSL con wildcard (Hostinger, algunos planes de Neubox, SiteGround)
- Entra a cPanel → sección Seguridad → SSL/TLS.
- Haz clic en Administrar sitios SSL (o "Let's Encrypt SSL" si tu proveedor tiene el plugin dedicado).
- Busca tu dominio en la lista y marca la opción Wildcard o *.tudominio.com.
- El sistema pedirá que añadas un registro TXT en el DNS: copia el valor que aparece en pantalla.
- Ve a la sección DNS de cPanel (o al panel de tu registrador) y crea el registro
_acme-challenge.tudominio.comcon el valor TXT indicado. - Espera 1–5 minutos para la propagación y confirma la emisión en el panel SSL.
- El certificado se instala automáticamente. Verifica con tu navegador que
https://cualquier-subdominio.tudominio.commuestre el candado.
Ruta B — Certificado wildcard externo (comercial o Certbot manual)
Si tu proveedor no ofrece wildcard en AutoSSL o prefieres un certificado de una CA comercial (DigiCert, Sectigo, etc.):
- Genera un CSR: en cPanel → SSL/TLS → Generar, ver, cargar o borrar claves privadas SSL. Crea una clave de 2048 o 4096 bits, luego en Solicitudes de firma de certificado (CSR) genera el CSR con el nombre común
*.tudominio.com. - Compra o emite el wildcard: pega el CSR en el portal de tu CA. Completa la validación DNS (te darán un registro TXT que debes añadir en tu DNS, igual que en la Ruta A).
- Descarga los archivos: recibirás el certificado (
.crt), la cadena intermedia (ca-bundle.crto similar) y ya tienes la clave privada en cPanel. - Instala en cPanel: ve a SSL/TLS → Administrar sitios SSL → selecciona el dominio → pega el certificado en el campo Certificate (CRT), la clave privada en Private Key (KEY) y la cadena en Certificate Authority Bundle (CABUNDLE) → clic en Install Certificate.
- Aplica a todos los subdominios: cPanel asocia el wildcard al dominio principal; cualquier subdominio que exista o crees después quedará cubierto automáticamente.
Si usas Certbot en local (no en el servidor) puedes emitir el wildcard con:
certbot certonly --manual --preferred-challenges dns \
-d "*.tudominio.com" -d "tudominio.com"Sigue las instrucciones para añadir el registro TXT, luego descarga los archivos generados y súbelos a cPanel como se describe en el paso 4 de la Ruta B.
Errores frecuentes y cómo evitarlos
- El wildcard no cubre el dominio raíz:
*.tudominio.comprotege los subdominios pero notudominio.compor sí solo. Siempre emite el cert con ambos:*.tudominio.com+tudominio.com. - Propagación DNS incompleta: si la validación falla, espera más tiempo o usa una herramienta como
dig TXT _acme-challenge.tudominio.com @8.8.8.8para verificar que el registro ya es visible. - Cadena de certificación incompleta: si instalas un cert comercial sin el bundle intermedio, algunos navegadores (especialmente en Android) mostrarán error. Siempre incluye la cadena CA.
- Renovación manual olvidada: los wildcard de Let's Encrypt duran 90 días. Si los emitiste manualmente, pon un recordatorio o automatiza la renovación con un cron que ejecute Certbot y vuelva a instalar el cert.
Si tienes dudas sobre cuál opción es la adecuada para tu proyecto, los especialistas de elenlace.com pueden orientarte y gestionar la instalación por ti, incluyendo la configuración de renovación automática.
Conclusiones clave
- Un certificado wildcard cubre
*.tudominio.comen un solo cert; no cubre sub-subdominios ni el dominio raíz a menos que se incluya explícitamente. - La validación wildcard siempre requiere DNS challenge; no funciona con validación HTTP.
- Si solo tienes
wwwy el dominio raíz, un SSL estándar gratuito (Let's Encrypt) es suficiente; el wildcard solo añade valor con dos o más subdominios. - cPanel facilita la instalación tanto de wildcard automáticos (AutoSSL) como manuales (subir CRT + KEY + bundle).
- Recuerda programar la renovación: los wildcard de Let's Encrypt caducan a los 90 días.
¿Prefieres delegar la gestión de tus certificados SSL y no preocuparte por renovaciones ni errores de cadena? En elenlace.com nos encargamos de toda la configuración SSL de tu hosting, para que tú te concentres en tu negocio. Consulta también más guías técnicas en nuestra sección de comparativas.
Preguntas frecuentes
¿Let's Encrypt ofrece wildcard gratis?
Sí. Let's Encrypt emite certificados wildcard sin costo mediante el protocolo ACME con DNS challenge. La limitación es que la renovación también requiere actualizar el registro TXT en el DNS, por lo que necesitas automatizarla o hacerla manualmente cada 90 días.
¿El certificado wildcard funciona con todos los subdominios que cree en el futuro?
Sí, esa es su principal ventaja. Una vez instalado en cPanel, cualquier subdominio nuevo que agregues bajo *.tudominio.com queda cubierto automáticamente sin necesidad de emitir ni instalar nada adicional.
¿Puedo usar el mismo wildcard en varios cuentas de hosting distintas?
Técnicamente sí: el archivo del certificado y la clave privada se pueden instalar en múltiples servidores. Sin embargo, compartir la clave privada entre entornos distintos aumenta el riesgo de seguridad; en ese caso es preferible emitir un certificado independiente para cada servidor.
¿Qué pasa si mi proveedor de hosting no soporta wildcard en AutoSSL?
Deberás usar la Ruta B: emitir el wildcard externamente (con Certbot en tu máquina local o comprando un cert comercial) y subirlo manualmente a cPanel. El proceso toma menos de 15 minutos y el resultado es idéntico en seguridad y cobertura.
Para saber más
Otros proveedores y guías que vale la pena comparar:
